Van wachtwoorden naar BankID: de evolutie van online authenticatie

In dit artikel:

Online authenticatie is in twintig jaar tijd sterk veranderd. Waar gebruikers vroeger vooral met een gebruikersnaam en wachtwoord inlogden, hebben datalekken, phishing en identiteitsfraude de kwetsbaarheid van dit model blootgelegd. Bovendien verwachten consumenten een snelle en eenvoudige toegang tot digitale diensten. Het hergebruik van wachtwoorden en de zogenoemde wachtwoordmoeheid vergroten de risico’s. Tweefactorauthenticatie biedt extra bescherming, maar sms-codes blijven gevoelig voor bijvoorbeeld SIM-swapping en ook authenticator-apps vragen een extra handeling van de gebruiker.

Biometrie, zoals gezichtsherkenning en vingerafdrukken, maakte authenticatie sneller en gebruiksvriendelijker. Passkeys gaan verder door wachtwoorden volledig te vervangen door cryptografische sleutelparen. De geheime sleutel blijft op het apparaat van de gebruiker, terwijl een publieke sleutel bij de dienst wordt opgeslagen. Daardoor zijn er geen wachtwoorden om te stelen en zijn passkeys minder vatbaar voor phishing. De brede invoering verloopt echter langzaam, onder meer doordat gebruikers het systeem niet altijd begrijpen en het verlies van een apparaat herstelproblemen kan veroorzaken.

Een andere ontwikkeling is authenticatie via de bank. Het Finse fintechbedrijf Trustly combineert in zijn Pay N Play-model registratie, identiteitscontrole en betaling. De gebruiker logt in via de eigen bank en autoriseert een transactie; de dienst ontvangt vervolgens zowel de betaling als door de bank geverifieerde identiteitsgegevens. Vooral Finse onlinecasino’s gebruiken deze aanpak. Spelers hoeven daar geen afzonderlijk account aan te maken of documenten voor een KYC-controle te uploaden. Stortingen en uitbetalingen kunnen bovendien snel worden verwerkt.

Deze ontwikkeling sluit aan bij open banking, dat door de Europese PSD2-regels mogelijk is gemaakt. Via beveiligde API’s kunnen erkende betaaldiensten, zoals Trustly, Tink, Klarna en Brite, bankgegevens gebruiken. Brite richt zich daarbij op directe betalingen via onder meer SEPA Instant, waardoor transacties in seconden kunnen worden afgerond in plaats van in één tot drie werkdagen. Sterke klantenauthenticatie bij de bank, bijvoorbeeld met een pincode of biometrie, voegt extra beveiligingslagen toe.

In Zweden, Noorwegen en Finland is BankID uitgegroeid tot een breed gebruikte digitale identiteit. De dienst koppelt bankgegevens aan de identiteit van een burger en wordt gebruikt voor onder meer belastingaangiften, contracten en het openen van accounts. Nederland heeft met DigiD al een publieke digitale identiteit, maar die is volgens het artikel minder geïntegreerd met commerciële diensten. De benodigde techniek voor bankgebaseerde identiteit bestaat volgens de auteur al; vooral politieke en institutionele samenwerking bepaalt of dit model ook elders de standaard wordt.